TCP-Neuverdeelungen géint IPsec-Replay-Ablehnungen: liest all Schicht

Dräi verschidden Werkzeuge mellen dräi verschidden Duplikater, a just ee vun hinnen ass en Netzwierkevenement, op deem Dir kënnt handelen. Eng TCP-Neuverdeelung ass en Sender, deen e Beräich nach eng Kéier schéckt, en duebelen ACK ass en Empfänger, deen eng Bestätegung widderhëlt, an eng ESP-Replay-Ablehnung ass eng Sécherheetsassociatioun, déi eng Sequenznummer refuséiert, déi se schonn ugeholl huet. Keng vun den dräi setzt eng vun den aneren viraus. Liest all Zähler op der Schicht, déi en erstellt, ier Dir se an enger Geschicht verbënnt.

Dräi Zähler, déi ni deeselwechten Evenement moossen

D’TCP-Neuverdeelungsnotatioun heescht, datt den Sender e Sequenzberäich erëm op d’Leitung geluecht huet. Verloscht ass ee Grond dofir, an der Opnam, déi Dir hutt, feelt vläicht einfach dat ursprénglecht Pak oder d’Bestätegung, déi den Timing erkläre géif. En duebelen ACK ass den Empfänger, deen no den TCP-Erhuelungsregelen eng kumulativ Bestätegung widderhëlt, wat weder eng duebel Applikatiounsschreiwung nach eng zweet Kopie vun den Donnéeën ass.

ESP schafft a sengem eegene Sequenzraum. All Sécherheetsassociatioun nummeréiert d’Paketen, déi se schéckt, an den Empfänger hält eng Fënster vu Nummeren, déi en schonn ugeholl huet, sou datt en ESP-Pak, dat zweemol ukommt, just op där Grondlag verworf gëtt. Dofir reest en erëmgeschéckten TCP-Segment an engem neien ESP-Pak mat enger neier Sequenznummer, wat op béide Schichten dat richtegt Verhalen ass. Déi selwecht Byten kënnen an engem Zähler nei ausgesinn an an engem aneren al, an keng vun den zwee Schichte lügt.

Wat den Analysator gesinn an net gesinn kann

Fänkt mam Vokabular vum Analysator un, well d’Filternimm Beobachtungen beschreiwen an net d’Bannen vun den Endpunkten. Mat deene selwechten Nimm ze zielen, déi d’Werkzeug benotzt, hält Iech éierlech dobäi, wat tatsächlech gemooss gouf. Eng Zuel aus enger onvollstänneger Opnam ass eng Zuel vun deem, wat iwwerlieft huet, net vun deem, wat op der Leitung geschitt ass.

tshark -r trace.pcap -Y "tcp.analysis.retransmission" | wc -l
tshark -r trace.pcap -Y "tcp.analysis.duplicate_ack" | wc -l

Liest d’Experteninformatioun niewent dësen Zuelen, well Warnungen iwwer Checksum an Uerdnung änneren, wéi vill Gewiicht se verdéngen. Eng fusionéiert Spuer vun zwee Sensoren kann ee Frame zweemol weisen, an zwou Kopien ze zielen erféiert en Erhuelungsevent, deen ni geschitt ass.

ESP-Zähler liewen am Kernelzoustand

ESP-Sequenznummere gehéieren zur Sécherheetsassociatioun, net zum TCP-Stroum, also ass den Gateway de Plaz, wou ee freet. D’Zoustabelung mellt Pak- an Feelerzähler pro Associatioun, déi keng Opnam rekonstruéiere kann.

ip -s xfrm state
tshark -r trace.pcap -Y "esp" -T fields -e esp.seq | head

RFC 4303 definéiert d’Sequenznummer an d’Anti-Replay-Fënster, déi se verbraucht, an dofir klëmmt den Zähler och wa näischt falsch ass. Monoton baussenzeg Sequenznummere mat enger entspriechender TCP-Anomalie weisen op en anere Sender oder en duplizéierte Wee hin, net op e Wiederhéichschécke-Stuerm. Eng baussenzeg Opnam vun engem verschlësselten Tunnel verstoppt normalerweis déi bannenzeg TCP-Sequenznummeren, sou datt se net ka beweisen, wat de bannenzegen Stack gemaach huet. Maacht just bannent dem Tunnel Opnamen, wou d’Politik et erlaabt, a schalt ni d’Anti-Replay aus, fir eng onverbonnen Warnung ze stëllen.

Wou den Observationspunkt d’Äntwert ännert

Ier Dir eskaléiert, schreift op, wéi d’Opnam gemaach gouf: d’Interface, ob den Opnameprozess Verloschter gemellt huet, an ob d’Zäitstempelen tëscht Sensoren vergläichbar sinn. Een Observationspunkt kann net béid Enner vun engem Wee gesinn, also ass all Ausso iwwer d’Verhalen vum Empfänger eng Folgerung an net eng Moossnam. Eng Spuer um Gateway an eng Spuer um Host wäerte sech ënner Laascht iwwer d’Uerdnung net eens ginn, an där Ongeneescht gehéiert meeschtens zu der Opnam an net zum Tunnel. Zwou Siichtweisen ze korreléieren ass dat, wat eng Zuel zu engem Beweis mécht.

Benotzt ee erlaabte Applikatiounsstroum a notéiert d’Endpunktzähler niewent den Zuele vun der Opnam am selwechten Ament. Wa si sech net eens sinn, vertraut der Schicht, déi den Event besëtzt, a behandelt déi aner als Observationsartefakt, bis d’Géigendeel bewisen ass. Dës Regel léist déi meescht vun dësen Ticketen, ouni d’Tunnelkonfiguratioun unzefänken.

D’Zuelen an der richteger Uerdnung liesen

Fänkt op der Schicht un, wou d’Fro gestallt gouf: eng TCP-Warnung gëtt aus enger TCP-Opnam beäntwert, an eng ESP-Ablehnung gëtt aus den Zählere vun der Sécherheetsassociatioun um Gateway beäntwert. Eréischt duerno freet, ob déi zwou Siichtweisen déiselwecht Pak beschreiwen. Eng Konklusioun, déi béid Schichte brauch, soll béid nennen, well eng Ausso iwwer den Tunnel, déi just op enger TCP-Notatioun berout, eng Vermutung ass.

Notéiert d’Schicht, den Zähler an den Observationspunkt fir all Befund, an den nächsten Lieser wäert dräi Evenementer net an ee imaginäre Feeler verschmëlzen. Eskaléiert mat dësen dräi Felder, an d’Korrektur folgt meeschtens aus dem éischten.